Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

 

4.2          Polizei und Verfassungsschutz

4.2.1       Gesetzliche Prüfpflichten als Garant für besseren Datenschutz?

„Wegen der für den Bürger bestehenden Undurchsichtigkeit der Speicherung und Verwendung von Daten unter den Bedingungen der automatischen Datenverarbeitung und auch im Interesse eines vorgezogenen Rechtsschutzes durch rechtzeitige Vorkehrungen ist die Beteiligung unabhängiger Datenschutzbeauftragter von erheblicher Bedeutung für einen effektiven Schutz des Rechts auf informationelle Selbstbestimmung.“ – Mit diesen Worten betont das Bundesverfassungsgericht in seinem sogenannten Volkszählungsurteil aus dem Jahr 1983 die wichtige Rolle, die eine unabhängige Datenschutzkontrolle im rechtsstaatlichen Gefüge spielt. Sie treffen heute mehr zu als je zuvor.

Die Prüfpraxis der unabhängigen Datenschutzaufsichtsbehörden ist insbesondere von zwei Faktoren abhängig:

´  ihrer personellen Ausstattung und

´  gesetzlichen Prüfpflichten.

Seit 1983 hat der Umfang an automatisierter Verarbeitung personenbezogener Daten massiv zugenommen. Die Aufsichtsbehörden und behördlichen Datenschutzbeauftragten (bDSB) sind aber personell nicht im selben Umfang mitgewachsen. Regelmäßige anlasslose Kontrollen der vorhandenen Systeme können nicht sichergestellt werden. In letzter Konsequenz bedeutet dies, dass datenschutzrechtliche Kontrollen im Verhältnis zum Umfang der Datenverarbeitung dem sprichwörtlichen „Feigenblatt“ gleichen. Dies ist insbesondere dort problematisch, wo die unabhängige Kontrolle als Korrektiv für eingriffsintensive, meist intransparente Datenverarbeitungen verfassungsrechtlich geboten ist.

Ein Ansatz zur Lösung dieses Problems sind Pflichtprüfungen der Datenschutzaufsicht, die sich aus der Rechtsprechung ergeben und zunehmend vom Gesetzgeber geregelt werden. Ein Beispiel dafür findet man in der Entscheidung des Bundesverfassungsgerichts vom 24.04.2013 zum Antiterrordateigesetz (ATDG). Dort heißt es auszugsweise: „Angesichts der Kompensationsfunktion der aufsichtlichen Kontrolle für den schwach ausgestalteten Individualrechtsschutz kommt deren regelmäßiger Durchführung besondere Bedeutung zu und sind solche Kontrollen in angemessenen Abständen – deren Dauer ein gewisses Höchstmaß, etwa zwei Jahre, nicht überschreiten darf – durchzuführen.“

Seit dieser Entscheidung sind auf Landes-, Bundes- und europäischer Ebene viele weitere Pflichtprüfungen hinzugekommen. Unmittelbar betroffen ist das ULD derzeit von zwei Prüfpflichten auf Bundesebene, fünf vonseiten der EU-Gesetzgebung sowie zwei Pflichten auf Landesebene. Letztere sind in Schleswig-Holstein durch die Novellierung des Landesverwaltungsgesetzes (LVwG) hinzugekommen und betreffen elf verschiedene Maßnahmen. Dazu gehören die verdeckten Maßnahmen im Bereich der Gefahrenabwehr sowie die Datenübermittlung in Drittstaaten (siehe Tabelle). Für den Bereich der Strafverfolgung gibt es diese gesetzliche Prüfpflicht noch nicht, hier gelten aber die verfassungsrechtlichen Gründe für Pflichtprüfungen gleichermaßen. Es ist daher anzunehmen, dass weitere gesetzliche Prüfpflichten hinzukommen werden.

Darüber hinaus gibt es noch weitere Pflichtprüfungen, die der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) durchführt. Von diesen Prüfungen ist regelmäßig auch die Datenverarbeitung einzelner oder aller Länder betroffen, was die Beteiligung der dortigen Datenschutzaufsichtsbehörden erforderlich macht.

Gegenstand der Prüfung	Prüfturnus
a) Bundesgesetzliche Prüfpflichten
Antiterrordatei (ATD)	alle zwei Jahre
Rechtsextremismusdatei (RED)	alle zwei Jahre
b) EU-Rechtsinstrumente
Schengener Informationssystem (SIS II)	regelmäßig
Visa-Informationssystem (VIS)	Abfragen der Sicherheitsbehörden nach VIS-Zugangsbeschluss: alle vier Jahre
European Dactyloscopy-System (Eurodac)	jährlich
Einreise-/Ausreisesystem (Entry-/Exit-System – EES)	regelmäßig
Interoperabilität zwischen EU-Informationssystemen (polizeiliche und justizielle Zusammenarbeit, Asyl und Migration)	alle vier Jahre
c) Landesrechtliche Prüfpflichten (SH)
Verdeckte Maßnahmen (LVwG) nach: § 180a Abs. 2 § 180a Abs. 4 § 185 (mehrere Maßnahmen) § 185a § 185b § 185c § 195a	mindestens alle zwei Jahre stichprobenartige Überprüfungen
Übermittlungen an Drittstaaten nach: § 193 LVwG §§ 54 bis 57 LDSG	mindestens alle zwei Jahre stichprobenartige Überprüfungen

Sind gesetzliche Prüfpflichten also die Lösung, um das Datenschutzniveau insgesamt zu verbessern? Die Notwendigkeit regelmäßiger Pflichtprüfungen betont die Wichtigkeit der betroffenen Bereiche in Bezug auf eine Datenschutzkontrolle. Die Verantwortlichen und die behördlichen Datenschutzbeauftragten können sich auf die wiederkehrenden Prüfungen einstellen und in besonderem Maße auf ein funktionierendes Datenschutzmanagement achten. Jedoch verschärfen gesetzliche Prüfpflichten die Knappheit der personellen Ressourcen sowohl bei den Aufsichtsbehörden als auch den behördlichen Datenschutzbeauftragten. Man könnte sogar argumentieren: Wären die Personalressourcen ausreichend bemessen, würde es gesetzlicher Prüfpflichten in vielen Fällen nicht bedürfen. Aufgrund der momentanen Lage sorgen die gesetzlich geforderten Prüfungen jedoch dafür, dass in vielen anderen Bereichen noch weniger oder so gut wie gar nicht mehr geprüft werden kann.

Mit der Zunahme solcher Pflichten kann sich außerdem ihr Nutzen abschwächen, da auch in den betroffenen Bereichen die Stichproben ressourcenbedingt immer kleiner ausfallen könnten. Es könnte sogar der Effekt entstehen, dass solche Datenschutzprüfungen, zu denen die Aufsicht aufgrund der Undurchsichtigkeit der Datenverarbeitung verpflichtet wurde, nur selektiv zu mehr Transparenz führen und sich der Kontrast dieser quasi „gut ausgeleuchteten Bereiche“ zu anderen weiterhin wenig transparenten Datenverarbeitungen verstärkt.

Die Relation zwischen gesetzlichen Prüfpflichten und der personellen Ausstattung der aufsichtführenden Stellen hat bereits das Bundesverfassungsgericht gesehen. In seinem bereits erwähnten Urteil zum ATDG wird im Zusammenhang mit den Pflichtprüfungen darauf hingewiesen, dass der gestiegene Aufwand bei der Ausstattung der Aufsichtsbehörden „zu berücksichtigen“ ist.

Der Landesgesetzgeber spielt die entscheidende Rolle bei der personellen Ausstattung seiner Aufsichtsbehörde. Dabei müssen auch gesetzliche Prüfpflichten berücksichtigt werden, die durch den Bund sowie die europäische Rechtsetzung normiert werden. Effektiver Datenschutz kann dabei jedoch nicht allein durch eine Stärkung der Aufsichtsbehörde erreicht werden. Auch die Datenschutzbeauftragten in den Behörden vor Ort müssen personell so verstärkt werden, dass sie in der Lage sind, ihren gesetzlichen Aufgaben, zu denen ebenfalls die Durchführung von anlassunabhängigen Prüfungen gehört, vollumfänglich nachzukommen. Im Bereich der behördlichen Datenschutzbeauftragten der Landespolizei finden aufgrund der dünnen Personaldecke derzeit beispielsweise lediglich Einzelfallüberprüfungen aufgrund von Beschwerden statt. Die Zunahme von Pflichtprüfungen lässt auf der Seite der Aufsichtsbehörde ebenfalls immer weniger Spielraum für anlasslose Kontrollen zu.

Gesetzlich vorgeschriebene Pflichtprüfungen können dann einen Beitrag zu einem besseren Datenschutzniveau leisten, wenn dadurch die zentrale Aufgabe anlassloser Kontrollen nicht eingeschränkt wird. Das Fehlen anlassloser Kontrollen in den Behörden und durch die Aufsichtsbehörde fällt häufig lange Zeit nicht auf, doch dies kann sich rächen, wenn sich Probleme bezüglich der Datenschutzkonformität aufbauen, die dann „plötzlich“ als „Datenschutzskandal“ in das öffentliche Interesse rücken. Dies gilt es zu vermeiden.

Was ist zu tun?
In dem Maße, wie Prüfpflichten zunehmen, muss auch die personelle Ausstattung der Aufsichtsbehörden wachsen. Die präventive Wirkung anlassloser Kontrollen darf nicht unterschätzt werden. Behörden müssen ihren Datenschutzbeauftragten dafür ausreichende Ressourcen zur Verfügung stellen.

 

4.2.2       Ermittlung einer Beifahrerin bei einer Verkehrsordnungswidrigkeit

In einem Fall haben wir im Berichtszeitraum gegenüber einer Polizeidirektion eine Verwarnung ausgesprochen. Hintergrund war eine Anfrage aus einem anderen Bundesland, bei der im Rahmen einer Verkehrsordnungswidrigkeit der Fahrer eines Dienstwagens ermittelt werden sollte.

Im Zuge der Ermittlungen gegen den beschuldigten Fahrer wurde auch die Identität der Beifahrerin ermittelt. Dazu wurden Personen im Arbeitsumfeld des Beschuldigten befragt sowie weitere personenbezogene Daten der Beifahrerin (z. B. Lichtbild, Meldedaten) bei der Amtsverwaltung des Wohnorts erhoben. Diese Daten wurden dann an das anfragende Bundesland übermittelt. Aufgrund einer Beschwerde wurde der Vorgang durch das ULD überprüft. Dabei wurde festgestellt, dass die Verarbeitung der personenbezogenen Daten der Beifahrerin unrechtmäßig erfolgt ist – ein klarer datenschutzrechtlicher Verstoß.

Doch was konnte nun getan werden, um einerseits die negativen Folgen für die betroffene Person nach Möglichkeit zu verringern und andererseits für die Zukunft derartige Fehler zu vermeiden?

Der Vorgang wurde durch den behördlichen Datenschutzbeauftragten (bDSB) sowie den verantwortlichen Direktionsleiter engagiert aufgearbeitet. In diesem Zusammenhang wurden die unrechtmäßig verarbeiteten Daten gemäß den Vorgaben des LDSG soweit wie möglich gelöscht. Wo dies nicht möglich gewesen wäre, ohne das zugrunde liegende OWI-Verfahren zu gefährden, wurden die Daten für eine weitere Verwendung gesperrt. Das anfragende Bundesland wurde nachträglich über die unzulässige Datenübermittlung informiert und darauf hingewiesen, dass die personenbezogenen Daten der Beifahrerin nach § 34 Abs. 5 LDSG zu löschen bzw. zu sperren seien. In die interne Aufarbeitung wurden außerdem die handelnden Beamten sowie ihre Vorgesetzten einbezogen.

Im Ergebnis handelt es sich um einen klaren Verstoß gegen datenschutzrechtliche Vorschriften. Der Vorgang ist aber auch ein gutes Beispiel für die Aufarbeitung und Korrektur. Die Polizeidirektion hat gut mit der Aufsichtsbehörde zusammengearbeitet und alle erforderlichen Maßnahmen ergriffen. Auf diese Weise konnte der Schaden begrenzt werden. Die Mitarbeitenden wurden sensibilisiert und die Situation wurde als Chance betrachtet, die eigenen Abläufe zu verbessern. Eine gute interne Aufarbeitung bildet die beste Grundlage dafür, zukünftige Verstöße zu verhindern.

Was ist zu tun?
Auch über Direktionsgrenzen hinweg eignen sich derartige Sachverhalte sehr gut dafür, Beamtinnen und Beamte zu schulen und für datenschutzrechtliche Fragestellungen zu sensibilisieren. Die Art und Weise, wie verantwortliche Führungskräfte und behördliche Datenschutzbeauftragte Verstöße aufarbeiten, trägt maßgeblich dazu bei, die internen Prozesse zu verbessern. So können künftige Verstöße vermieden werden.

 

4.2.3       Abruf von Personalausweisbildern bei Verkehrsordnungswidrigkeiten

Im Berichtszeitraum erreichte uns eine Beschwerde zu folgendem Sachverhalt: Der Beschwerdeführer erhielt im Rahmen einer Verkehrsordnungswidrigkeit am 30. Dezember 2020 ein Schreiben mit einem Anhörungsbogen des zuständigen Landkreises, das auf den 23. Dezember 2020 datiert war. Am 4. Januar 2021 beauftragte er seinen Anwalt, mit dem Kreis Kontakt aufzunehmen. Dies erfolgte am 5. Januar 2021. Am 6. Januar 2021 stellte die Bußgeldstelle beim Einwohnermeldeamt einen Antrag auf Übermittlung eines Personalausweis- oder Passfotos. Der Beschwerdeführer sah sich durch diesen Abruf in seinen Rechten verletzt. Der Abruf sei nicht erforderlich gewesen, da er bereit war, am Verfahren mitzuwirken, und so schnell wie möglich auf die Anhörung des Kreises reagiert habe. Auf eine vorherige Beschwerde beim Kreis wurde dem Petenten mitgeteilt, dass der Abruf von Bildern datenschutzrechtlich das mildeste Mittel sei, um den Fahrer zu ermitteln. Außerdem würde auch das ULD auf seiner Webseite diese Verfahrensweise grundsätzlich befürworten.

Eine Prüfung des Sachverhalts ergab, dass der Abruf der Personalausweisdaten – exakt zwei Wochen nach dem Datum des Anhörungsschreibens – datenschutzrechtlich problematisch gewesen war. Der Abruf von Bilddaten beim zuständigen Einwohnermeldeamt dient der Ermittlung des Fahrers. Äußert sich der Halter eines Fahrzeugs nicht zu dem festgestellten Verstoß, muss die Bußgeldbehörde auf anderem Weg den Fahrer ermitteln. Regelmäßig wird in solch einem Fall anhand von Personalausweis- oder Passfotos überprüft, ob der Halter oder ein Familienangehöriger gefahren ist. Der Abruf der Bilder im Rahmen der Fahrerermittlung ist dabei weniger eingriffsintensiv als z. B. eine Befragung von Nachbarn oder Familienangehörigen. Selbstverständlich gilt aber: Der Abruf ist trotzdem nur dann zulässig, wenn der Fahrer auf anderem Weg nicht ermittelt werden konnte. Im ersten Schritt muss versucht werden, den Fahrer im Rahmen des Anhörungsverfahrens zu ermitteln.

Im vorliegenden Fall war der Beschwerdeführer bereit gewesen, Angaben zur Sache zu machen. Der Abruf der Bilddaten erfolgte somit verfrüht, da das Anhörungsverfahren im zugrunde liegenden Zeitraum faktisch nicht abgeschlossen werden konnte.

Im Ergebnis hat der Kreis Änderungen für das Anhörungsverfahren angekündigt. Die interne Frist, bevor Personalausweis- oder Passfotos zum Zweck der Fahrerermittlung abgerufen werden, soll verlängert werden. Auf diese Weise wird sichergestellt, dass auch in speziellen Konstellationen – wie in diesem konkreten Fall – den Betroffenen die Möglichkeit gegeben wird, ihre Rechte wahrzunehmen.

Was ist zu tun?
Auch andere Behörden, die Verkehrsordnungswidrigkeiten ahnden, sollten prüfen, ob ihre internen Fristen angepasst werden müssen. Dies kann saisonal oder generell geregelt werden.

 

Zurück zum vorherigen Kapitel

Zum Inhaltsverzeichnis

Zum nächsten Kapitel